GDPR · TIETOSUOJA
Selkeät käytännöt henkilötietojen käsittelyyn.
Henkilötietoja käsitellään asiakasjärjestelmissä, henkilöstöhallinnossa ja toimittajien palveluissa. Autamme selvittämään, miten tiedot liikkuvat, kuka niistä vastaa ja mitä käytäntöjä tarvitaan.
Selvitä ensin, miten tietoja käytetään
Tietosuojaseloste on vain yksi osa tietosuojaa. Ensin on tiedettävä, mitä henkilötietoja kerätään, mihin niitä tarvitaan, kuka niitä käsittelee ja kuinka kauan niitä säilytetään. GDPR:n mukaiset vastuut riippuvat käsittelystä ja organisaation roolista. Sama organisaatio voi olla yhdessä tehtävässä rekisterinpitäjä ja toisessa henkilötietojen käsittelijä.
Vie vastuut osaksi käytännön työtä
Autamme yhdistämään asiakirjat siihen, miten ihmiset ja järjestelmät käsittelevät tietoja. Työ voi koskea käsittelytoimien kirjaamista, toimittajien vastuita, käyttöoikeuksia, säilytysaikoja, henkilötietoja koskevia pyyntöjä ja tietosuojapoikkeamien käsittelyä. Jos tarvitaan riskien tai tietosuojan vaikutusten arviointia, sen rajaus ja vastuut selvitetään yhdessä organisaation kanssa.
Valitse konkreettinen lähtökohta
Tarve voi liittyä uuteen palveluun, henkilöstöjärjestelmän vaihtoon, pilvipalvelun hankintaan tai nykyisten asiakirjojen puutteisiin. Aloitetaan siitä toiminnasta, joka tarvitsee huomiota. Sovimme tarkasteltavista prosesseista ja järjestelmistä, työn osallistujista ja tarvittavista tiedoista ennen jatkotoimien suunnittelua.
Muuta havainnot parannuksiksi
Työn tuloksena voidaan koota kuvaus tietojen käsittelystä, lista asiakirjojen puutteista, suositukset toimintatavoista ja toimenpidesuunnitelma. Kullekin toimelle nimetään vastuuhenkilö ja määritellään, milloin se on valmis. Organisaatio vastaa edelleen omista käsittelyä koskevista päätöksistään. Pelkkä raportti ei osoita vaatimusten täyttymistä.
Ensimmäisessä keskustelussa selvitettävät asiat
- Missä prosesseissa henkilötietoja käsitellään, ja mikä muutos tai huoli käynnisti tarkastelun?
- Toimiiko organisaatio rekisterinpitäjänä, henkilötietojen käsittelijänä vai eri tehtävissä molempina?
- Mitkä toimittajat ja tietojen siirrot on huomioitava?
- Mitä asiakirjoja ja sisäisiä ohjeita on jo käytössä?
Liittyvät palvelut ja viitekehykset
- Tietosuojan hallinta ja tietosuojavastaavan tuki
- Kyberriskit ja toimintakyky
- ISO 27701 ja tietosuojan hallinta
Työn sisältö ja toimitettavat aineistot sovitaan ennen aloitusta. Tietosuojavastaavan nimittäminen on erillinen järjestely, eikä neuvontapalvelu tarkoita automaattisesti nimitystä.